美國新政策允許民間企業駭入外國網路罪犯：完整解讀

關鍵要求

該備忘錄為參與企業設立了幾項防護措施 ：

• 100萬美元保證金：參與企業必須繳交100萬美元的保證金，若政府發現其違反計畫規則，這筆保證金將被沒收 。
• 司法部與國土安全部聯合批准：每次行動都需要獲得由司法部和國土安全部指定的「計畫執行主任」的書面批准，才能採取任何行動 。
• 禁止針對美國人或美國境內系統：備忘錄指示制定程序，防止任何行動針對美國公民或位於美國境內的系統 。
• 「關鍵後果」門檻：可能導致人員死亡或重傷，或在國際法下構成「使用武力」的行動，除非另有授權，否則一律禁止 。
• 年度報告：計畫執行主任必須在180天內向國土安全顧問和國家網路總監報告，此後每年報告一次 。
• 合約揭露：參與企業必須向國家協調中心揭露其與目標犯罪組織之間的所有合約關係 。

法律與政策轉變

這項政策代表了美國網路安全方針數十年來的歷史性逆轉。根據《電腦詐欺與濫用法》，民間企業與任何個人一樣受到相同限制，廣泛禁止在未經法院授權的情況下進行未經授權的存取、駭客攻擊或破壞行動 。美國政府長期以來的立場，且歷屆政府皆保持一致，就是民間部門可以防禦來襲的網路攻擊，但不得發動或進行攻擊性網路攻擊 。

這份備忘錄為在聯邦監督下行動的審查承包商掃除了這項禁令，實際上建立了一個由政府控制的「反駭」計畫，將攻擊性網路權力委託給民間企業 。白宮表示，這項政策允許聯邦政府「利用民間部門的能力和創新」來打擊針對美國人的網路犯罪和威脅，例如勒索軟體攻擊、金融詐騙和性勒索 。

批評與擔憂

批評者警告，這項政策很可能面臨法律挑戰，以及來自那些認為民間企業不應參與政府駭客行動人士的反對 。備忘錄本身也承認風險，要求參與企業維持一筆可因違規而被沒收的巨額財務保證金。該計畫並未授權不受限制的「反駭」行動，每項行動仍須獲得聯邦批准，但批評者指出，將攻擊性網路能力委託給民間企業，為潛在的濫用和衝突升級創造了新的途徑 。